E4del e PINHOLE: i banner FTP diventano canali nascosti per distribuire RAT Windows

Una campagna attiva dall’inizio di luglio

Due trojan ad accesso remoto per Windows, chiamati E4del e PINHOLE, stanno utilizzando una tecnica poco comune per ricevere istruzioni: i banner di benvenuto esposti dai server FTP.

La campagna è stata osservata a luglio e, secondo ricerche sull’infrastruttura pubblicamente indicizzata, risultava ancora attiva ad agosto 2026. Nuovi server sono comparsi proprio nel corso di agosto, segnale che gli operatori continuano a modificare la rete utilizzata per la distribuzione.

L’infezione inizia probabilmente con un messaggio di phishing che contiene un archivio ZIP. All’interno si trova una catena basata su file di collegamento Windows .LNK, spesso utilizzati per avviare comandi senza presentare direttamente all’utente un eseguibile tradizionale.

Il collegamento contatta un server FTP e legge il testo restituito durante la connessione. Quel contenuto, normalmente destinato a mostrare un messaggio di servizio prima dell’autenticazione, viene interpretato dal malware come una serie di istruzioni.

Il banner FTP usato come dead-drop resolver

La tecnica trasforma il banner FTP in un dead-drop resolver, o DDR. In questo modello il server non deve necessariamente funzionare come un vero centro di comando e controllo: è sufficiente che restituisca nel banner i dati attesi dal malware.

Il file .LNK utilizza la risposta del server per recuperare uno script PowerShell, che prosegue la catena d’infezione e scarica o avvia i componenti successivi. L’uso di un messaggio testuale come contenitore dei comandi consente agli operatori di separare l’infrastruttura di distribuzione dal payload finale.

La scelta presenta però anche un limite. Connessioni FTP verso server sconosciuti possono essere più visibili rispetto all’uso di piattaforme legittime, come social network, servizi di codice o siti video. In campagne precedenti, infatti, i DDR sono stati ospitati anche su servizi quali X, GitHub e YouTube, dove il traffico può confondersi più facilmente con quello ordinario.

Nonostante il rischio di rilevamento, il metodo è flessibile. La stessa logica potrebbe essere adattata a scenari di ingegneria sociale ClickFix, nei quali la vittima viene indotta a eseguire manualmente comandi o procedure apparentemente necessarie per risolvere un problema.

E4del si nasconde dietro una falsa applicazione Discord

E4del è un RAT basato su Node.js e incorporato in un’applicazione Electron firmata digitalmente. Il programma si presenta come Discord, sfruttando un nome e un’interfaccia potenzialmente plausibili per ridurre i sospetti dell’utente.

La firma digitale non dimostra che l’applicazione sia legittima. In questo caso viene utilizzata all’interno di un pacchetto malevolo che incorpora il componente Node.js e le funzioni di accesso remoto.

E4del può:

• eseguire comandi attraverso shell persistenti o temporanee;
• acquisire screenshot;
• trasmettere il desktop tramite WebSockets;
• scaricare ed eseguire altri payload.

Queste funzioni permettono agli operatori di passare dalla semplice esecuzione iniziale a un controllo interattivo della macchina. Possono inoltre raccogliere informazioni visive, trasferire nuovi strumenti e installare componenti aggiuntivi.

Nella catena è stato individuato anche il modulo Node.js crypto32.node, apparentemente collegato a un possibile tentativo di escalation dei privilegi. Il modulo non è stato recuperato per l’analisi, quindi il suo comportamento effettivo e il livello di privilegi ottenibile non sono noti.

PINHOLE combina Pinterest, SurveyMonkey e tecniche di injection

PINHOLE adotta un’infrastruttura diversa per recuperare la configurazione del proprio server di comando e controllo. Il malware utilizza pin di Pinterest e domande di sondaggi SurveyMonkey come fonti di dati.

L’impiego combinato di servizi distinti rende più difficile interrompere completamente la comunicazione. La rimozione di un singolo contenuto o dominio potrebbe non essere sufficiente, perché il malware può continuare a ottenere una parte della configurazione da un’altra piattaforma.

Sul dispositivo compromesso, PINHOLE limita la quantità di codice mantenuta contemporaneamente in memoria tramite una tecnica chiamata shellcode fluctuation. Il payload viene suddiviso e conserva in memoria una sola sezione da 4 KB alla volta, ricostruendo l’assembly finale quando necessario.

Il codice viene poi iniettato in un processo sospeso ApplicationFrameHost.exe attraverso Early Bird APC injection. Il metodo consente di predisporre le chiamate asincrone prima che il processo inizi la propria esecuzione normale, sfruttando un processo legittimo come contenitore.

PINHOLE supporta 14 comandi, tra cui:

• raccolta di informazioni sul sistema;
• upload e download di file;
• esecuzione di comandi;
• gestione dei processi;
• acquisizione di screenshot;
• distribuzione di un modulo per sottrarre credenziali memorizzate nei browser.

Durante l’analisi, lo script aveva generato soltanto 11 eventi di esecuzione. Il dato è compatibile con una campagna ancora nelle fasi iniziali, anche se non consente da solo di stimare l’ampiezza dell’attività.

Chi rischia e quali dati possono essere esposti

Le vittime potenziali sono utenti Windows che aprono archivi ZIP ricevuti tramite phishing o avviano collegamenti .LNK non verificati. L’esecuzione del collegamento può attivare PowerShell, stabilire connessioni FTP e installare il RAT senza richiedere all’utente di lanciare direttamente un file eseguibile riconoscibile.

Le conseguenze dipendono dai privilegi disponibili e dai payload installati successivamente. Le capacità osservate includono controllo remoto, esecuzione di comandi, screenshot, trasmissione del desktop, trasferimento di file e gestione dei processi.

PINHOLE può inoltre distribuire un modulo per sottrarre credenziali salvate nei browser. E4del potrebbe tentare un’escalation dei privilegi attraverso crypto32.node, ma questo aspetto non è stato confermato perché il modulo non era disponibile per l’analisi.

Non sono state rese note vittime specifiche, settori colpiti o numeri complessivi di sistemi compromessi.

Controlli da attivare su endpoint e rete

Le organizzazioni dovrebbero verificare con particolare attenzione:

• archivi ZIP arrivati tramite messaggi inattesi o provenienti da mittenti contraffatti;
• avvii di file .LNK, soprattutto quando richiamano PowerShell;
• esecuzioni PowerShell associate a connessioni FTP;
• accessi FTP verso server esterni sconosciuti;
• banner contenenti stringhe o dati incompatibili con un normale messaggio di servizio;
• applicazioni Electron che imitano Discord;
• comportamenti anomali di ApplicationFrameHost.exe;
• iniezioni Early Bird APC e accessi insoliti ai database dei browser.

Gli indicatori di compromissione utili per individuare server e host infetti non sono disponibili nei dati pubblici considerati. Per questo il rilevamento dovrebbe combinare telemetria di rete, eventi PowerShell, creazione di processi e controlli sui collegamenti Windows.

Gli utenti dovrebbero evitare di aprire ZIP inattesi, non eseguire file .LNK ricevuti via posta elettronica e verificare l’origine delle applicazioni Electron prima dell’installazione. Bloccare o limitare il traffico FTP in uscita, quando non necessario all’attività aziendale, può inoltre ridurre la superficie di attacco.